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ers connected via a data bus comprising at least two lines, each subscriber having 
a receiving and/or a sending part, the function of the data bus and/or the func- 
tion of the subscribers monitors at least one subscriber using watch-dog signals 

(CEI),a nd the emergency running measures (Ml ; M2) appropriate to the error in question are adopted in order to set up denned 
emergency operating modes (single- wire, special emergency running). After adoption of the first emergency measure (Ml), the 
computer network is tested for errors. If no errors are detected, the first emergency running measure is maintained and hence the 
resultant emergency operating mode (single-wire emergency). If other errors occur in the computer network after adoption of the 
first emergency running measure, the first emergency measure is withdrawn and the second emergency running measure (M2) is 
adopted, i.e., special emergency running, is maintained. Only if other errors then occur are the subscribers concerned or the whole 
network switched off (bus-off). 

(57) Zusammenfassung 

Es wird ein Verfahren zur Oberwachung eines Computer-Netzwerks mit mindestens zwei uber einen wenigstens zwei Lei- 
tungen umfassenden Datenbus verbundenen Teilnehmern, die jeweils ein Empfangs- und/oder ein Sendeteil aufweist vorgeschla- 
gen. Das Verfahren zeichnet sich dadurch aus, daB die Funktion des Datenbusses und/oder die Funktion der Teilnehmer mit Hil- 
fe von Fehlererkennungssignalen (Watch-dog-Signale, CEI) mindestens einen Teilnehmer iiberwacht und daB auf den jeweiligen 
Fehlerfall abgestimmte Notlauf-Ma&nahmen (Ml; M2) zur Einstellung von definierten Notlauf-Betriebsarten (Eindraht-, Son- 
der-Notlauf) ergriffen werden. Nach Ergreifung der ersten Notlauf-MaSnahme (Ml) wird gepruTt, ob das Computer-Netzwerk 
fehlerfrei funktioniert. Wenn dies der Fall ist, wird die erste NotlaufmaBnahme aufrechterhalten und auch damit die erreichte 
Notlauf-Betriebsart (Eindraht-Notlauf). Sollten nach Ergreifen der ersten Notflauf-MaBnahme weitere Fehler im Computer- 
Netzwerk auftauchen, wird die erste Notlauf-MaSnahme zurOckgenommen und die zweite Notlauf-MaBnahme (M2) ergriffen. 
Wenn nunmehr keine weiteren Fehler auftauchen wird der durch diese MaSnahme eingestelite Notlauf-Betriel), der Sonder-Not- 
lauf, aufrechterhalten. Erst wenn immer noch weitere Fehler auftauchen werden die betroffenen Teilnehmer oder das gesamte 
Computer-Netzwerk abgeschaltet (Bus-off). 
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Verfahren zur tibervachung eines Computernetzverks 



Stand der Technik 

Die Erfindung betrifft ein Verfahren zur tibervachung 
eines Computernetzwerks mit mindestens zvei liber 
einen wenigstens zvei Leitungen umfassenden Datenbus 
verbundenen Teilnehmern nach der Gattung des An- 
spruchs 1 . 

Computer-Netzverke verden immer haufiger eingesetzt, 
insbesondere auch im Kraftf ahrzeugbau. Es sind soge- 
nannte Controller-Area-Netvork-Schnittstellen ( CAN- 
IC) bekannt, die als int'egrierte Schaltkreise ausge- 
bildet sind. Die Verbindung der einzelnen Netzverk- 
teilnehmer erfolgt liber einen Datenbus, der bei- 
spielsweise zvei Signalleitungen aufveist. Uber diese 
Leitungen verden die Inf ormationen der Teilnehmer ge- 
sendet. Jeder Ausfall einer der beiden Signallei- 
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tungen durch KruzschluB nach Masse oder zur Span- 
nungsversorgung oder eine Unterbrechung der Leitungen 
hat zur Folge, daB das gesamte Netzverk zusammen- 
bricht. Dies 1st auch dann der Pall, wenn ein Kurz- 
schluB zwischen den beiden Busseleitungen eintritt, 
•oder wenn einer der Tellnehmer defekt ist. 

Die einzelnen Teilnehmer eines Netzwerks weisen auBer 
dem CAN-IC eine sogenannte Busankopplung auf. Es 
handelt sich dabei urn eine spezielle Beschaltung des 
CAN-IC 1 s , durch die auf den Busleitungen auftretende 
Fehler erkannt werden sollen. 

Derartige Systeme erlauben jedoch keine zentrale 
Ubervachung der Funktion des Datenbusses oder der 
Funktion einzelner Teilnehmer eines Computer-Net z- 
werks . 



Vorteile der Erfindung 

Das erfindungsgemase Verfahren zur Ubervachung eines 
Computer-Netzverks mit den in Anspruch 1 genannten 
Merkmalen hat dem gegenliber den Vorteil, daB bussei- 
tige Hardvare-Fehler und Funktionsstorungen einzelner 
Teilnehmer eines Computer-Netzwerk schnell erkannt 
und geeignete Notlauf-MaBnahmen ergriffen werden kSn- 
nen. Besonders vorteilhaft ist es, daB das Verfahren 
unabhangig von der Zahl von der am Busverkehr teil- 
nehmenden CAN-IC • s eingesetzt werden kann. Eine An- 
passung der Notlauf-MaBnahmen an verschiedene Teil- 
nehmerzahlen ist nicht erf orderlich. Besonders 
wichtig ist es, daB bei den einzelnen Teilnehmern 
keine zusatz lichen Bauteile fur die Durchf lihrung des 
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Verfahrens vorgesehen verden mttssen. Uberdies vird 
durch das erf indungsgemaBe Verfahren der Datenbus nur 
auBerst wenig belastet. 

Die Funktion des Datenbusses und/oder Teilnehmer er- 
folgt mittels Fehlererkennungssignalen mindestens 
eines Teilnehmers. Dabei wird zvischen externen 
Fehlererkennungssignalen , den sogenannten Watch-dog- 
Signalen, und internen Fehlererkennungssignalen, den 
CAN-Error-Interrupt-Signalen ( CEI-Signale ) unter- 
schieden. Die externen Fehlererkennungssignale verden 
von einem Teilnehmer auf den Datenbus gegeben. Die am 
Busverkehr teilnehmenden Teilnehmer ervarten dieses 
Signal innerhalb eines vorgegebenen Zeitrasters. 
Teilnehmer-Interne Fehler verden mit Hilfe einer ge- 
eigneten Fehlererkennungseinrichtung erkannt und 
durch das CEI-Signal angezeigt. 

Das erf indungsgemaBe Verfahren zeichnet sich dadurch 
aus, daB in Abhangigkeit von den Fehlererkennungssig- 
nalen geeignete Notlauf -MaBnahmen ergriffen werden, 
wodurch ein Notbetrieb des Computer-Netzverkes einge- 
stellt wird. Die Notlauf -MaBnahmen verden abhangig 
von den auftretenden Fehlern variiert. Wenn nach Ein- 
stellung eines ersten Notlauf betriebs veiter Fehler 
auftauchen, verden nachfolgende Notlauf -MaBnahmen er- 
griffen, um eine veitere Notlauf betriebsart einzu- 
stellen. Erst venn danach noch veitere Fehler auf- 
treten, verden die von den Fehlern betroffenen Teil- 
nehmer notfalls das gesamte Netzverk abgeschaltet, es 
erfolgt ein sogenannter Bus-off. 

Besonders bevorzugt vird ein Verfahren, bei dem der 
Bus-off -Betrieb vieder aufgehoben vird, venn ledig- 
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lich ein einzelner Teilnehmer defekt ist und darauf- 
hin abgeschaltet vurde. Dieses Verfahren hat den Vor- 
teil, daB man alle librigen Teilnehmer wieder den nor- 
malen Zveidraht-Betrieb aufnehmen. 

SchlieBlich vird ein Verfahren bevorzugt, bei dem die 
FehlerUbervachung abgeschaltet verden kann, venn 
durch einen Defekt des Teilnehmers, des Masters, der 
das externe Fehlererkennungssignal, das Watch-dog- 
Signal, abgibt, daB gesamte Netzverk in den Bus-off - 
Betrieb ubergegangen ist. Durch diese MaBnahme ist 
ein Notlaufbetrieb des Netzverks moglich, auch wenn 
eine veitere FehlerUbervachung dann nicht mehr mog- 
lich ist. 

Weitere Vorteile und Ausf uhrungsf ormen des Verfahrens 
ergeben sich aus den UnteransprUchen . Insbesondere 
wird deutlich, vie auf verschiedene im Computer-Net z- 
verk auftretende Fehler Notlauf-MaBnahmen ergriffen 
verden konnen. 

Zeichnung 

Die Erfindung vird im folgenden anhand der Figuren 
n&her erlautert. In einzelnen Diagrammen verden die 
von den Teilnehmern des Computer-Netzverks abgegebe- 
nen Signale bzv. die aufgrund von Fehlern ergriffenen 
Notlauf-MaBnahmen erlautert. Es vird beispielhaft da- 
von ausgegangen, daB das Computer-Net zverk neben ei- 
nem ein externes Fehlererkennungssignal (Watch-dog- 
Signal) abgebenden Teilnehmer (Master) zvei veitere 
Teilnehmer A und B aufveist. Das Verfahren ist jedoch 
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keinesfalls auf ein Netzwerk mit drei Teilnehmern be- 
schr&nkt . 

Es zeigen: 

Figur 1 die im Normalbetrieb auftretenden Signale; 

Figuren 2 bis 4 den zeitlichen Ablauf der Signale bei 
der Reaktion auf einen §tation*ren, globalen Fehler; 

Figuren 5 bis 7 den zeitlichen Ablauf der Signale bei 
der Reaktion auf einen dynamischen, globalen Fehler; 

Figuren 8 bis 10 die Signale bei der Reaktion auf 
einen stationaren, lokalen, empf angsseitigen Fehler; 

Figuren 11 und 12 die Signale bei der Reaktion auf 
einen lokalen, sendeseitigen, dynamischen Fehler; 

Figur 13 die Signale bei der Handhabung eines Bus-off 
eines Teilnehmers; 

Figur 14 ein Struktogramm, aus dem die bei einem im 
Ruhezustand eintretenden Fehler ergriffenen MaBnahmen 
ersichtlich sind; 

Figur 15 die Signale bei der Reaktion auf einen De- 
fekt des Masters und 

Figur 16 ein Blockschaltbild eine Computer-Net zwerks, 
bei dem das Verfahren einsetzbar ist. 

Das Fehlerlibervachungsverf ahren soil anhand eines 
Computernetzes bzv. Multiplex-Systems, beschrieben 
verden, das mit einem Zwei-Draht-Bus ausgestattet 
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1st. Die Daten werden Uber beide Busleitungen Uber- 
tragen. Im Fehler fall konnen die Inf ormationen im 
EindrahtNotbetrieb veiter Ubertragen verden. 

Es gibt rezesive und dominante Pegel auf den Leitun- 
gen des Datenbusses. Ein dominanter Pegel kann stets 
einen rezesiven Pegel liberschreiben. Im stationaren 
Betrieb, im Lehrlauf, ist der Bus im rezesiven Zu- 
stand, das heiBt, die erste Datenleitung U+ befindet 
sich auf einem ersten vorgegebenen Pegel von bei- 
spielsveise 3,5V und die zveite Leitung U- des Daten- 
busses auf einem zweiten vorgegebenen Pegel von bei- 
spielsveise 1,5V. Ein dominanter Pegel liegt vor # 
venn die erste Datenleitung das Potential der zweiten 
Leitung annimmt und die zveite Datenleitung das Po- 
tential der ersten Leitung. 

Flir die nachfolgende Beschreibung soil eine Klasslfi- 
zierung der Fehler vorgenommen verden: 

Als stationar vird ein Fehler bezeichnet, venn er un- 
abhangig vom Buszustand erkannt verden kann, also un- 
abhangig davon, ob sich der Bus im Leerlauf befindet 
Oder ob Daten ubertragen verden. 

Als dynamisch vird ein Fehler bezeichnet, venn er nur 
vahrend einer DatenUbertragung erkannt verden kann. 

Nach dem Kriterium der Fehlererkennung k5nnen die 
Fehler vie folgt unterschieden verden: 

Bei einem stationaren, globalen Fehler stellt sich 
auf den Busleitungen ist ein staridig dominater Pegel 
ein. Dieser Fehler vird unmittelbar nach seinem Auf- 
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treten von jedem CAN-Baustein eines Teilnehmers er- 
kannt . 

Bei einem dynamischen, globalen Fehler ist standig 
ein rezesiver Pegel auf den Busleitungen. Dieser Feh- 
ler ist nicht im Leerlauf des Busses sondern erst bei 
einer Datenlibertragung fur alle Teilnehmer erkennbar. 

Bei einem station&ren', lokalen Fehler liest ein de- 
fekter Teilnehmer standig einen dominanten Pegel ein. 
Dieser Fehler vird unmittelbar nach seinem Auftreten 
von dem betroffenen Teilnehmer erkannt. 

Bei einem dynamischen, lokalen Fehler kann ein defek- 
ter Knoten sich selbst nicht korrekt einlesen. Die 
Teilnehmer, -die mit einem Sende- und Empfangsteil 
ausgestattet sind, lesen ihre eigenen Inf ormationen r 
die von ihrem Sendeteil auf den Datenbus abgegeben 
werden, zur Kontrolle selbst ein, das heiBt, ein 
Teilnehmer liest seine eigenen vom Sendeteil abge- 
gebenen Inf ormationen Uber den Empfangsteil ein und 
kontrolliert diese. Ein dynamischer, lokaler Fehler 
wird daher erst bei einer Datenlibertragung des de- 
fekten Teilnehmers, von diesem erkannt. 

Anhand von Figur 1 vird der Normalbetrieb des Compu- 
ter-Netzverks erlautert. 

Ein Teilnehmer, der beispielsweise auch die Busver- 
sorgung und die Ubervachung des Pegels auf den Daten- 
leitungen Ubernimmt, sendet zyklisch ein erstes ex- 
ternes Fehler erkennungssignal, eine Watch-Dog-Mes- 
sage. Das ausgesendete Signal vird mit S WD bezeich- 
net. Ein derartiges Signal vird von dem Master nach 
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einer Synchronisationszeit tgy N ausgegeben, die dazu 
dient, daB die einzelnen Teilnehmer , hier Tin A und 
Tin B, eine Zeitsynchronisation vornehmen kOnnen. 

Im Normalfall vird das Watch-dog-Signal S WD von den 
Teilnehmern empfangen. Das empfangene Signal vird mit 
E WD bezeichnet* 

Im fehlerlosen Betrieb trifft das Watch-dog-Signal 
des Masters bei den Teilnehmern innerhalb eines Zeit- 
fensters ein, das mit -t^oi und +t to i bezeichnet ist. 
Das Watch-dog-Signal S WD wird nach einer "Zeit von t WD 
viederholt . 

Fehlerfrei empfangene bzv. Iibertragene Signale verden 
mit einem durchgehenden senkrechten Strich bezeich- 
net. 

Nun vird arihand der Figuren 2 bis 4 das tfbervachungs- 
konzept flir einen stationaren, globalen Fehler be- 
schrieben, bei dem auf den Busleitungen standig ein 
dominanter Pegel anliegt und der alle Teilnehmer des 
Computer-Netzverks betrifft. 

Aus Figur 2 ist ersichtlich, daB zunachst das vom 
Master abgegebene Watch-dog-Signal S^ von den .Teil- 
nehmern A und B empfangen vurde. Danach trat der sta- 
tionare, globale Fehler ein- Dadurch vird bei jedem 
Teilnehmer eine Fehlererf assungseinrichtung akti- 
viert. Diese besteht beispielsveise in einem Fehler - 
zahler, der bei jedem Fehler inkrementiert vird, bis 
schlieBlich ein internes Fehlererkennungssignal, das 
CAN-Error-Interrupt-Signal (CEI) abgegeben vird. Nach 
jedem CEI verden die Fehlerzahler zurUckgesetzt , in- 
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dem der CAN-Baustein des Teilnehmers zuriickgesetzt 
und dann vieder neu gestartet vird. 

Das interne Fehlererkennungssignal CEI vird in Figur 
2 zum Zeitpunkt 1 ) von alien Teilnehmern des Com- 
puter-Netzverkes abgegeben. Nach dem Auftreten des 
CEI-Signals, das durch senkrecht Ubereinanderliegende 
Sternchen gekennzeichnet ist f vird das nachste Watch- 
dog-Signal S W £) abgevartet. Durch senkrecht Ubereinan- 
derliegende Doppelpunkte ist dargestellt, daB das im 
vorgegebenen Zeitraster ervartete Signal nicht gesen- 
det bzv. nicht empfangen verden kann. Im vorliegenden 
Fall kann durch den st&ndig dominanten Pegel keine 
Information liber den Datenbus gesendet verden- Das 
Watch-dog-Signal S WD kann also vom Master nicht abge- 
geben und daher von den Teilnehmern A und B nicht em- 
pfangen verden (E WD ). Aufgrund dieser Tatsache vird 
eine erste Notlauf-MaBnahme M1 eingeleitet. 

Das Einleiten der Notlauf-MaBnahme ist durch senk- 
recht ubereinanderliegende Fluszeichen angedeutet. 
Zum Zeitpunkt 3) vird die Notlauf-MaBnahme Ml einge- 
leitet. Zum Zeitpunkt 4) vird geprUft, ob veitere CEI 
Signale auftreten- Dies ist in Figur 2 nicht der 
Fall. Es ist erkennbar, daB zum Zeitpunkt 5) das 
Watch-dog-Signal S WD vom Master abgegeben und von den 
Teilnehmern A und B empfangen verden kann. Es vird 
nunmehr die erste Notlauf betriebsart, der Eindraht- 
Notlauf, aufrecht erhalten. 

In Figur 3 ist ein Zeitdiagramm dargestellt, bei dem 
die zum Zeitpunkt 3) eingeleitete Notlauf-MaBnahme M1 
nicht zur Fehlerbeseitigung geflihrt hat. Die Ereig- 
nisse zu den Zeitpunkten 1), 2) und 3) stimmen mit 
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denen anhand von Figur 2 erlauterten Uberein. Auf 
ihre Beschreibung kann hier verzichtet verden. 

In Figur 3 vird also zum Zeitpunkt 3 ) die erste Not- 
lauf -MaBnahme M1 eingeleitet. Trotz dieser MaBnahme 
tritt zum Zeitpunkt 4) erneut ein internes 
Fehlererkennungssignal CEI bei alien Teilnehmern auf. 
Das heiBt also, durch die NotmaBnahme vurde der 
Fehler nicht behoben. Daraufhin vird zum Zeitpunkt 6) 
die Notlauf -MaBnahme M2 eingeleitet. Die Notlauf -MaB- 
nahme M1 vird zurUckgenommen . 

Zum Zeitpunkt 7) vird geprUft, ob veitere Fehler- 
signale CEI eintreffen. Dies ist in Figur 3 nicht der 
Fall, die Handhabung der Fehlersituation, das soge- 
nannte Error-Handling ist beendet. Zum Zeitpunkt 8) 
vird das vom Master abgegebene Watch-dog-Signal S WD 
von den Teilnehmern A und B vieder empfangen (E WE) ). 
Es vird nunmehr die zveite Notlauf betriebsart, der 
Sonder-Notlauf , aufrecht erhalten. 

In Figur 4 ist viederum ein Zeitdiagramm dargestellt, 
das den zeitlichen Ablauf der Signale bei der Hand- 
habung eines stationaren, globalen Fehler s vieder- 
gibt. Im Gegensatz zum Fehlerfall in Figur 3 hat je- 
doch hier die Notlauf -MaBnahme M2 nicht zur Beseiti- 
gung des Fehlers geflihrt. Die Signale zu den Zeit- 
punkten 1 ) bis 6 ) entsprechen denen in Figur 3 , so 
daB auf deren Beschreibung verzichtet verden kann. 

Zum Zeitpunkt 6) vird also die zveite Notlauf -MaB- 
nahme M2 eingeleitet, veil nach Einleitung der ersten 
Notlauf-MaBnahme Ml viederum ein Fehlersignal CEI zum 
Zeitpunkt 4) aufgetreten ist, so daB das Watch-dog- 
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Signal zum Zeitpunkt 5) nicht gesendet und empfangen 
verden konnte. 

Nach Einleitung der zveiten Notlauf-MaBnahme M2 trat 
viederum ein Fehlersignal CEI bei alien Teilnehmern 
auf, das Watch-dog-Signal S WD konnte vom Master nicht 
gesendet und von den Teilnehmern A und B nicht em- 
pfangen (E WD ) werden. 

Das Watch-dog-Signal h&tte zum Zeitpunkt 8 ) gesendet 
und empfangen werden mlissen. 

Daraufhin verden zum Zeitpunkt 9) alle Teilnehmer des 
Computer-Netzverks abgeschaltet , es vird also der so- 
genannte Bus-off eingeleitet. 

Auch im abgeschalteten Zustand sind die Teilnehmer 
d es Netzverkes nicht vollkommen stromlos. Sie konnen 
noch auf Signale reagieren, sie konnen in dieser Not- 
lauf -Phase noch Notf unktionen tibernehmen, 

Zur Einleitung der in den Figuren 2 bis 4 ervahnten 
ersten Notlauf-MaBnahme Ml verden folgende Schritte 
unternommen : 

Der der ersten Leitung U+^des Datenbusses zugeordnete 
Eingang RXO aller CAN-IC's vird auf ein vorgegebenes 
Potential von beispielsveise V cc /2 gelegt. Dies kann 
beispielsveise mittels eines Umschalters SO erreicht 
verden, vie er in Figur 16 gezeigt ist. AnschlieBend 
vird der CAN-Baustein aller Teilnehmer neu gestartet. 
Durch diese Notlauf-MaBnahme vird ein erster Notlauf- 
betrieb, ein sogenannter Eindraht-Notlauf einge- 
stellt . 



WO 90/09631 




PCT/DE89/00090 



Die in den Figuren 3 und 4 ervahnte zveite Notlauf- 
MaBnahme M2 besteht zum einem darin, die erste Not- 
lauf-MaBnahme Ml rlickgangig zu machen. Das heiBt 
also, alle Eingange RXO verden wiederum mit der 
ersten Leitung U+ des Datenbusses verbunden und von 
dem vorgegebenen Potential V cc /2 abgetrennt. Daflir 
verden alle Eingange RX1 die der zveiten Datenlei- 
tung U- des Datenbusses zugeordnet sind, auf das vor- 
gegebene Potential gelegt, indem der als Umschalter 
ausgebildete Schalter SI betatigt vird. 

Uberdies vird die der zveiten Datenleitung U- zuge- 
ordnete Ausgangsklemme TXl eines jeden Teilnehmers so 
geschaltet, daB Inf orraationen der Teilnehmer nicht 
mehr auf die Datenleitung abgegeben verden k5nnen. 

AusschlieBlich beim Master vird zusatzlich die zveite 
Datenleitung - U- abgeschaitet . Dies erfolgt liber ein 
spezielles Steuersignal beispielsveise eines Mikro- 
prozessors ^iP an das AbschluBnetzverk A1 , velches 
beim Master vorgesehen ist. 

Durch die zveite Notlauf-MaBnahme M2 vird der zveite 
Notlauf betrieb eingeschaltet , der sogenannte Sonder- 
Notlauf. Auch hier handelt es sich urn einen Eindraht- 
Notlauf . 

In den Zeitdiagrammen der Figuren 5,6 und 7 ist der 
zeitliche Ablauf des Error-Handlings bei einem dyna- 
mischen, globalen Fehler' dargestellt. Beim Senden des 
Watch-dog-Signals S WD des Masters erkennt jeder 
Knoten einen Fehler. 
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Aus Figur 5 ist ersichtlich, daB zunachst das vom 
Master abgegebene Watch-dog-Signal S WD von den Teil- 
nehmerns A und B empfangen vurde. Das zum Zeitpunkt 
1 ) von Master abzugebende Watch-dog-Signal S WD vurde 
nicht abgegeben, der durch t tol vorgegebene Zeit- 
rahmen beim Senden des Watch-dog-Signals vurde Uber- 
schritten. AuBerdem hat der Master ein CAN-Error- 
Interrupt-Signal CEI zur Zeit 2) erhalten, veil deas 
Watch-dog-Signal nicht fehlerfrei abgegeben verden 
konnte. 

Bei den Teilnehmern A und B ist das Watch-dog-Signal 
des Masters auch nicht empfangen vorden, das Signal 
E WD blieb aus. Oder es vurde bei beiden Teilnehmern 
zum Zeitpunkt 2) das bausteininterne Fehlererken- 
nungssignal CEI erhalten, veil das Watch-dog-Signal 
fehlerhaft empfangen vurde. 

Darauf hin vurde zum Zeitpunkt 3 ) vie bei der Fehler- 
handhabung bei einem station&ren, globalen Fehler die 
Notlauf -MaBnahme Ml eingeleitet. In Figur 5 fUhrte 
dies dazu, daB das Watch-dog-Signal S WD vom Master 
gesendet und von den Teilnehmern A und B empfangen 
(E WD ) vurde. Dies var zum Zeitpunkt 4) der Fall. Das 
Computer-Netz arbeitet .nun fehlerfrei in der ersten 
Notlauf betriebsart, dem Eindraht-Notlauf . 

Das in Figur 6 dargestellte Diagramm unterscheidet 
sich von dem in Figur 5"dadurch, daB zum Zeitpunkt 4) 
das Watch-dog-Signal nicht gesendet und empfangen 
verden konnte, daB also die Notlauf -MaBnahme Ml , die 
zum Zeitpunkt 3) eingeleitet vurde, nicht zur Fehler- 
behebung fUhrte. Zum Zeitpunkt 4) vurde das Watch- 
dog-Signal veder gesendet noch empfangen, zum Zeit- 
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punkt 5) erhielten alle Teilnehmer das interne 
Fehlererkennungssignal CEI. 

Daraufhin vurde zum Zeitpunkt 6) die zveite Notlauf- 
MaBnahme M2 bei alien Teilnehmern eingeleitet. Die 
daflir erforderlichen Schritte vurden oben be- 
schrieben. 

Aufgrund der Notlauf-MaBnahme M2 trat bei dem in 
Figur 6 dargestellten Fall kein weiterer Fehler auf. 
Zum Zeitpunkt 7 ) konnte das Watch-dog-Signal gesendet 
und von den Teilnehmern empfangen verden. Die Fehler- 
handhabung ist damit beendet. Der durch die Notlauf- 
MaBnahme M2 eingestellte Sonder-Notlauf vird auf- 
rechterhalten. 

In dem Zeitdiagramm gem&B Figur 7 sind zu den Zeit- 
punkten 1) .bis 6) die anhand der Figuren 5 und 6 er- 
lauterten Signale eingezeichnet . Hier hat jedoch die 
zveite Not lauf -MaBnahme M2 keinen Erfolg: zum Zeit- 
punkt 7 ) kann das Watch-dog-Signal Sy^ vom Master 
nicht gesendet und von den Teilnehmern A und B nicht 
empfangen verden (E WD ). 

Daraufhin schalten sich die Teilnehmer vom Bus ab, es 
wird der sogenannte Bus-off eingeleitet. Dieser Vor- 
gang findet zum Zeitpunkt 8) statt. 

Auch hier findet noch ein. spezieller Notlauf der 
Teilnehmer statt, so daB noch Notf unktionen erhalten 
sind. 

Anhand der Zeitdiagramme in den Figuren 8 bis 1 0 vird 
die Reaktion auf einen stationaren, lokalen, em- 
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pf angsseitigen Fehler eines Teilnehmers, hier des 
Teilnehmers Tin A erlautert. 

Sobald der Fehler auftritt, vird bei dem defekten 
Teilnehmer eine Fehlererkennungseinrichtung akti- 
viert. Diese weist beispielsveise einen Fehlerzahler 
auf, der bei jedem Fehler inkrementiert vird, bis 
schlieBlich ein CAN-Error-Interrupt-Signal (CEI) ab- 
gegeben vird. In Figur 8 tritt beim Teilnehmer A das 
CEI-Signal zum Zeitpunkt 1) auf. 

Nach jedem CEI vird der Fehlerzahler des Teilnehmers 
zurllckgesetzt, indem der CAN-Baustein resettet bzv. 
zurlickgesetzt und dann vieder neu gestartet vird. 

Zum Zeitpunkt 2 ) h&tte das vom Master abgegebene 
Watch-dog-Signal S WD beim Teilnehmer A eintreffen 
sollen. Dies var nicht der Fall, vas durch die Uber- 
einanderliegenden Doppelpunkte gekennzeichnet ist, 
die mit E WD bezeichnet sind. Aus Figur 8 ist durch 
den durchgezogenen Strich angedeutet, daS das Watch- 
dog-Signal beim Teilnehmer B zum Zeitpunkt 2) ein- 
trif ft. 

Aufgrund des ausbleibenden Watch-dog-Signals S^q vird 
beim Teilnehmer A - vie beim station&ren, globalen 
Fehler - die Notlauf-MaBnahme Ml eingeleitet, namlich 
zum Zeitpunkt 3 ) . In Figur 8 treten zum Zeitpunkt 4 ) 
keine veiteren CEI-Signale auf, das heiBt, der erste 
Notlauf-Betrieb, der Eindraht-Notlauf , des defekten 
Teilnehmers A vird auf rechterhalten. Das Netzverk ar- 
beitet nun vieder fehlerfrei. 
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Bei dem Zeitdiagramm in Figur 9 vird davon ausge- 
gangen, daB auch nach Einleitung der ersten NotmaB- 
nahme Ml 2um Zeitpunkt 3) der Fehler des ersten Teil- 
nehmers nicht beseitigt 1st. Daher tritt zum Zeit- 
punkt 4) ein internes Fehlererkennungssignal CEI des 
Teilnehmers A auf. £r ist auch nicht in der Lage zum 
Zeitpunkt 5 ) das externe Fehlererkennungsignal des 
Masters, das Watch-dog-Signal S WD , zu empfangen. Das 
Signal kommt dagegen beim Teilnehmer B fehlerfrei an. 

Aufgrund dieser Tatsache leitet der Teilnehmer A zum 
Zeitpunkt 6) die zveite Notlauf -MaBnahme M2 ein. 

Zum Zeitpunkt 7) stellt sich heraus, daB keine 
weiteren Fehlererkennungssignale CEI beim Teilnehmer 
A auftreten. Er arbeitet nun also fehlerfrei und kann 
zum Zeitpunkt 8 ) das Watch-dog-Signal S WD des Masters 
empfangen E WD . Es vird nunmehr die zveite Notlauf be- 
triebsart, der Sonder-Notlauf , des Teilnehmers A auf- 
recht erhalten. 

In Figur 10 ist ein Zeitdiagramm dargestellt, bei dem 
zu dem Zeitpunkten l) bis 6) dieselben Signale vie in 
den Figuren 8 und 9 eingetragen sind. Allerdings ist 
hier zum Zeitpunkt 7) auch nach Einteilung der Not- 
lauf -MaBnahme M2 der Fehler des Teilnehmers A immer- 
noch nicht behoben. Vielmehr taucht dort ein veiteres 
internes Fehlererkennungssignal CEI auf. Er kann auch 
zum Zeitpunkt 8 ) das Watch-dog-Signal S^ des Masters 
nicht empfangen. Er vird daher zum Zeitpunkt 9) vom 
Netz getrennt und geht in den Bus-off -Zustand liber. 
Auch hier vird ein Notbetrieb mit Notf unktionen des 
Teilnehmers A auf rechterhalten. 
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Durch den in Figuren 8 bis 10 beschriebene Notlauf- 
MaBnahme Ml vird der defekte Teilnehmer A in den 
ersten Notlauf-Betriebszustand, den sogenannten Ein- 
draht-Notlauf gebracht. Durch die Notlauf -MaBnahme M2 
vird der defekte Teilnehmer A in den zweiten Notlauf- 
Betrieb f den sogenannten Sonder-Notlauf gebracht. 

Bei einem dynamischen, lokalen empf angsseitigen 
Fehler eines Teilnehmers 'ist das Error-Handling iden- 
tisch vie beim dynamischen , globalen Fehler, das an- 
hand der Figuren 5 bis 7 beschrieben vurde. Das liegt 
daran, daB der Teilnehmer nicht erkennen kann, ob es 
sich lediglich urn einen lokalen oder einen globalen 
Fehler handelt. 

Anhand der Zeitdiagramme in den Figuren 11 bis 12 
vird die Fehlerreaktion, das Error-Handling, bei 
einem lokalen, sendeseitigen Fehler beschrieben. Bei 
einem derartigen Defekt kann ein Teilnehmer das 
Watch-dog-Signal des Masters zvar empfangen, so daB 
kein Error-Handling eingeleitet vird. Er ist aller- 
dings nicht imstande, den Empfang des Signals des 
Masters zu bestatigen. Er mliBte dazu ein Acknovledge- 
Bit auf das Datennetz abgeben. Bei mehreren Teil- 
nehmern ist der Master nicht in der Lage zu erkennen, 
velcher Teilnehmer defekt ist, sofern er venigstens 
ein Acknovledge-Bit empf&ngt, da jeder Teilnehmer, 
der das Watch-dog-Signal erh&lt, ein derartiges Bit 
sendet . 

Der lokale, sendeseitige Fehler vird aber dann er- 
kannt, venn ein Teilnehmer ein Signal eines anderen 
ervartet. Geht dieses Signal nicht ein, so kann 



WO 90/09631 




PCT/DE89/00090 



dieser Teilnehmer erkennen, daB der Teilnehmer, der 
senden vollte, einen Fehler im Sendeteil aufveist. 

Bei dem Zeitdiagramm in Figur 4 vird davon ausge- 
gangen, daB der Teilnehmer A ein Signal S B an den 
Teilnehmer B senden sollte. Zum Zeitpunkt 1) geht 
dieses Signal beim Teilnehmer B nicht ein, er em- 
pfangt keine Nachricht (E A ) vom Teilnehmer A. Der 
Teilnehmer B gibt daraufhin zum Zeitpunkt 2) eine so- 
genannte Status-Message an den Master mit dem Inhalt 
ab, "der Teilnehmer A hat nicht gesendet" . ' In Figur 
1 1 ist der Empf ang dieses Signals mit E B zum Zeit- 
punkt 2) angedeutet. Aufgrund der Status-Message des 
Teilnehmers B erkennt der Master den lokalen, sende- 
seitigen Defekt beim Teilnehmer A und provoziert die 
Einleitung des Error-Handlings, indem er das nachste 
Watch-dog-Signal S WD zum Zeitpunkt 3) ausf alien laBt. 
Daraufhin kqnnen auch die Teilnehmer A und B ein der- 
artiges Signal nicht empfangen (E WD ). 

Aufgrund des Ausfalls des Watch-dog-Signals des 
Masters vird bei alien Teilnehmern ein Error-Handling 
eingeleitet. Zum Zeitpunkt 4) vird daraufhin die 
erste Notlauf -MaBnahme M1 eingeleitet, vie dies bei 
einem globalen Fehler der Fall ist. 

Nach Einleitung der Notlauf-MaBnahme bittst der 
Master zum Zeitpunkt 5) den defekten Teilnehmer A, 
sich bei ihm zu melden. Der defekte Teilnehmer hat 
auf diese Weise die Moglichkeit, sich zu testen. 

In Figur IT vird davon ausgegangen, daB der Teil- 
nehmer A aufgrund des durch die MaBnahme M1 einge- 
leiteten Eindraht-Notlauf s nunmehr in der Lage ist, 
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sich beim Master zu melden. Die Aufforderung S A des 
Masters trifft beim Teilnehmer ein. Dies ist durch E M 
angedeutet. Daraufhin gibt der Teilnehmer A das 
Signal S M ab. Dieses Signal trifft auch beim Master 
ein, was durch E A angedeutet ist. Der nachfolgende 
Zyklus erfolgt nunmehr fehlerfrei: das Watch-dog- 
Signal S WD des Masters trifft beim Teilnehmer A zum 
Zeitpunkt 6) ein (E WD ). Selbstverstandlich vird das 
Watch-dog-Signal des Masters vom fehlerfreien Teil- 
nehmer B empfangen. 

In Figur 12 ist ein Zeitdiagramm gezeigt, das mit dem 
in Figur 11 bis zum Zeitpunkt 4) libereinstimmt . Das 
heiBt also, bei der Fehlerreaktion in Figur 12 vird 
die Notlauf-MaBnahme Ml zum. Zeitpunkt 4 bei alien 
Teilnehmern eingeleitet. Danach fordert der Master 
den Teilnehmer A auf, sich bei ihm zu melden. Das 
Signal S A des Masters trifft zum Zeitpunkt 5) beim 
Teilnehmer A ein, was durch den durchgehenden Strich 
gekennzeichnet ist, der mit E M bezeichnet ist. 

Der Teilnehmer A ist aufgrund des sendeseitigen De- 
fekts allerdings nicht in der Lage, das Signal S A an 
den Master abzusenden. Dieser unterdrlickt daraufhin 
beim n&chsten Zyklus zum Zeitpunkt 6 ) die Abgabe des 
Watch-dog-Signals S WD , so daB veder der Teilnehmer A 
noch der Teilnehmer B ein derartiges Signal empfangen 
konnen. Bei alien Teilnehmern wird daraufhin die 
zweite Notlauf-MaBnahme M2 eingeleitet und zvar zum 
Zeitpunkt 7). In Figur 12 vird da von ausgegangen, daB 
nunmehr die Aufforderung des Masters an den Teil- 
nehmer A, sich beim Master zu melden, korrekt beant- 
vortet wird. Zum Zeitpunkt 8) verden also die Signale 
S A' E M fehlerfrei ausgetauscht . 
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Danach kann zum Zeitpunkt 9) ein fehlerfreier Betrieb 
aufrechterhalten verden, nSLmlich der Sonder-Notlauf : 
das Watch-dog-Signal S WD trifft fehlerfrei bei den 
Teilnehmern A und B ein. 

•Bei der Behandlung des lokalen, sendesseitigen 
Fehlers vird davon ausgegangen, daB bei alien Teil- 
nehmern die Notlauf-MaBnahmen Ml und M2 ausgeflihrt 
verden, die oben anhand des station&ren, globalen 
Fehlers erl&utert verden, Nach der Notlauf-MaBnahme 
M1 befinden sich alle Teilnehmer im ersten Notlauf- 
,Betrieb, dem Eindraht-Notlauf . MuB nach einem 
veiteren Fehler die zveite Notlauf-MaBnahme M2 einge- 
leitet verden, befinden sich alle Teilnehmer im 
zveiten Notlauf betrieb, dem Sonder-Notlauf. 

Figur 13 zeigt die zeitliche Abfolge der Signale bei 
der Fehlerhandhabung im Falle eines Bus-of f-Zustand 
eines Teilnehmers. Dieser Fehler kann erst erkannt 
verden f venn eine ervartete Botschaft eines Teil- 
nehmers ausbleibt. Es vird dann gepriift, ob der ent- 
sprechende Teilnehmer sendeseitig defekt ist, oder ob 
er sich im Zustand "Bus-off" befindet. Bei der Dar- 
stellung in Figur 13 vird von einem Bus-off des Teil- 
nehmers A ausgegangen. 

Die MaBnahmen, die in Figur 13 zu den Zeitpunkten 1) 
bis 7) dargestellt sind, entsprechen denen, die bei 
einem lokalen, sendeseitigen Defekt ergriffen verden. 
Insof ern vird auf die Beschreibung der Figuren 1 1 und 
12 verviesen. 

ZunSchst kann das externe Fehlererkennungssignal des 
Masters, das Watch-dog-Signal S WD , von den Teil- 
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nehmern A und B empfangen verden. Zum Zeitpunkt 1 ) 
erhalt der Teilnehmer B eine ervartete Nachricht des 
Teilnehmers A nicht mehr. Er gibt daher zum Zeitpunkt 
2) eine Status-Message "Teilnehmer A hat nicht ge- 
sendet" an den Master ab. Dieser last daraufhin zum 
Zeitpunkt 3) das Watch-dog-Signal ausf alien, vodurch 
bei alien Teilnehmern zum Zeitpunkt 4) die erste Not- 
lauf-MaBnahme Ml eingeleitet vird. Zum Zeitpunkt 5) 
fordert der Master den Teilnehmer A durch das Signal 
S A auf, sich beim ihm zu melden. Dazu ist der Teil- 
nehmer nicht in der Lage. 

Daraufhin wird zum Zeitpunkt 6) das Watch-dog-Signal 
des Masters viederum unterdriickt. Alle Teilnehmer 
leiten deshalb zum Zeitpunkt 7 ) die zveite Notlauf- 
MaBnahme M2 ein. 

Wiederum fordert der Master zum Zeitpunkt 8) den 
Teilnehmer A auf, sich bei ihm zu melden. Dazu ist 
dieser immernoch nicht in der Lage. 

Der Master schlieBt daraus, daB der Teilnehmer A 
nicht am Busverkehr teilnimmt und im Bus-of f-Zustand 
ist. Daraufhin verden sowohl beim Master als auch bei 
alien anderen Teilnehmern die Notlauf-MaBnahme zu- 
ruckgenommen. Lediglich der Teilnehmer A bleibt 
veiterhin im Bus-off. Die Rucknahme der Notlauf-MaB- 
nahmen erfolgt zum Zeitpunkt 10). 

Anhand des Struktogramms in Figur 14 vird nun das 
Fehlerlibervachungsverf ahren das Error-Handling bei 
einem Fehler im Ruhezustand erlautert. Wenn namlich 
bereits vor dem Anstarten des Computer-Netzwerkes ein 
Fehler vorliegt, mlissen die einzelnen Teilnehmer die 
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Notlauf-MaBnahmen synchron einleiten. Dazu sind 
wesentliche langere Synchronisationszeiten notig, als 
in Figur 1 angedeutet. Um 2u gewahrleisten, daB alle 
Teilnehmer dieselbe Notlauf-MaBnahme gleichzeitig 
durchflihren, sind beispielsweise Synchronisations- 
zeiten von T M1 =ls und T M2 *2s nStig. Mit TM1 und TM2 
werden die Synchronisationszeiten bezeichnet, wahrend 
der die Notlauf-MaBnahmen M1 und M2 auf rechterhalten 
werden. In diesen Zeitraumen vird geprUft, ob das 
Watch-dog-Signal eintrifft. 

. In einem ersten Schritt 1 vird die Spannungsversor- 
gung des Computer-Net zwerkes eingeschaltet . Im 
zweiten Schritt 2 werden alle DatenUbertragungen der 
Teilnehmer gesperrt. Im dritten Schritt 3 wird ge- 
wartet, bis die in Figur 1 dargestellte Synchronisa- 
tionszeit T SYN abgelaufen ist, oder bis ein Watch- 
dog-Signal empfangen vurde. 

In Schritt 4 wird abgefragt, ob das Watch-dog-Signal 
eingegangen ist. Wenn dies der Fall ist, wird in 
Schritt 5 eine Synchronisation des Computer-Netzverks 
vorgenommen und anschlieBend in Schritt 6 der Normal- 
betrieb des Computer-Netzwerks aufgenommen. 

Wenn kein Watch-dog-Signal empfangen wurde, wird in 
Schritt 7 die Notlauf-MaBnahme M1 eingele'itet. Diese 
wird auf rechterhalten, bis die Synchronisationszeit 
T M1 abgelaufen ist, oder bis ein Watch-dog-Signal 
empfangen wurde. Wenn dies der Fall ist, wird in 
Schritt 8 die Timer-Synchronisation vorgenommen und 
in Schritt 9 der erste Notlaufbetrieb, der Eindraht- 
Notlauf 1 DN auf rechterhalten. 
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Wenn kein Watch-dog-Signal eingegangen ist, wird die 
Notlauf-MaBnahme M2 in Schritt 10 eingeleitet. Diese 
wird aufrechterhalten, bis die Zeit T M2 abgelaufen 
ist, oder bis ein Watch-dog-Signal empfangen vurde. 
Wenn dies der Fall ist, wird in Schritt 11 eine 
Timer-Synchronisation vorgenommen und anschlieBend in 
Schritt 12 der Sonder-Notlauf SN aufrechterhalten. 

Sollte kein Watch-dog-Signal eingehen, so wird im 
Schritt 13 der Bus-off aller Teilnehmer eingeleitet* 
Die Teilnehmer verbleiben in einer Grund-Notlauf -Be- 
triebsart. 

Die Notlauf-MaBnahme Ml und M2 ist identisch mit 
denen, die anhand des statischen, globalen Fehlers 
beschrieben wurden. Auf die Erlauterung des Error- 
Handlings dieses Fehler falls wird daher verwiesen. Es 
zeigt sich auch, daB bei dem Verfahren in Figur 14 
durch die Notlauf-MaBnahme 1 der erste Notlauf-Be- 
trieb, der Eindraht-Notlauf , und durch die zweite 
NotlaufMaBnahme M2 der zweite Notlauf -Betrieb, der 
Sonder-Notlauf , aufrechterhalten wird. 

Figur 15 zeigt ein Zeitdiagramm, in dem der zeitliche 
Ablauf der Signale bei der Reaktion auf einen Defekt 
des Masters wiedergegeben ist. 

Die zu den Zeitpunkten 1 ) bis 7 ) auf tretenden Signale 
entsprechen denen des Error-Handlings bei einem dy- 
namischen, globalen Defekt. 

Aus dem Diagramm ist ersichtlich, daB zunachst das 
vom Master abgegebene Fehlererkennungssignal, das 
Watch-dog-Signal S WD von den beiden Teilnehmern A und 
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B fehlerfrei empfangen vurde. Zum. Zeitpunkt 1 ) vurde 
das Watch-dog-Signal immernoch veder gesendet noch 
empfangen. Daraufhin gaben alle Teilnehmer zum Zeit- 
punkt 2) das interne Fehlererkennungssignal CEI ab 
und leiteten zum Zeitpunkt 3) die ersten Notlauf -MaB- 
nahme M1 ein. Es zeigt sich, daB diese MaBnahme den 
Fehler nicht beseitigen konnte: zum Zeitpunkt 4) 
wurde das Watch-dog-Signal veder gesendet noch em- 
pfangen* Daraufhin gaben alle Teilnehmer zum Zeit- 
punkt 5) das interne Fehlersignal GEI ab und leiteten 
zum Zeitpunkt 6) die zveite Notlauf-MaBnahme M2 ein. 
Der daraufhin eingerichtete zveite Notlauf-Betrieb, 
der Sonder-Notlauf , konnte ebenfalls den Fehler nicht 
beseitigen. Zum Zeitpunkt 7) vurde das Watch-dog- 
Signal immernoch veder gesendet noch empfangen. 

Urn eine Totalabschaltung des gesamten Systems zu ver- 
meiden, vird nun zum Zeitpunkt 8) ausschlieBlich der 
Master vom Netz getrennt; es findet dort ein Bus-off 
statt. Es vird lediglich eine Notlauf f unktion des 
Masters auf rechterhalten. . 

Statt des Masters sendet nun beispielsveise der Teil- 
nehmer A zum Zeitpunkt 8) das nSLchste Watch-dog- 
Signal, vas mit einem durchgehenden Strich und der 
Bezeichnung S WD dargestellt ist. Dieses Signal vird 
auch fehlerfrei vom Teilnehmer B empfangen. Beide 
Teilnehmer nehmen nun die zu den Zeitpunkten 3) und 
6) eingeleiteten Notlauf -MaBnahmen zurlick und 
arbeiten ohne Fehlerlibervachung veiter. Es ist auch 
moglich, daB mehr als ein veiterer Teilnehmer so aus- 
gestattet vird, daB er die voile Masterf unktion, also 
auch die Busversorgung und die Ubervachung der Pegel 
auf den Busleitungen Ubernehmen kann. Dazu mUBte aber 
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jeveils ein AbschluBnetzwerk bei den entsprechenden 
Teilnehmern vorgesehen werden, was allerdings sehr 
aufwendig ware. 

Zur Verdeutlichung des oben Gesagten ist in Figur 16 
eine Prinzipskizze eines Computer-Netzwerkes wieder- 
gegeben . 

Ein die Teilnehmer ver-bindender Datenbus weist hier 
beispielsweise zvei Datenleitungen U+ und U- auf. 
Uber diese Leitungen werden die Inf ormationen des 
Netzes weitergegeben. 

Einer der Teilnehmer Ubernimmt die Busversorgung und 
die Ubervachung der auf den Datenleitungen vorhan- 
denen Pegel. Er dient als Master M. Er ist mit einem 
AbschluBnetzwerk AO und Al versehen, das einerseits 
mit einer Versorgungsspannung V cc und andererseits 
mit den Datenleitungen U- und U+ des Busses verbunden 
ist. Die AbschluBnetzwerke konnen -beispielsweise 
Emitter f olger aufweisen. Ein Element A1 des AbschluB- 
netzwerkes ist mit einem Mikroprozessor pP verbunden, 
der Steuersignale abgibt. Beispielsweise bei der Ein- 
leitung der zweiten Notlauf-MaBnahme M2 wird durch 
ein geeignetes Steuersignal die zweite Datenleitung 
U- abgeschaltet . 

Der Master M weist einen CAN-Baustein auf, von dem 
hier lediglich die Ausgangsklemmen TXO und TX1 des 
Sendeteils und die Eingangsklemmen RX1 und RXO des 
Empf angsteils angedeutet sind. Von dem Sendeteil des 
CAN-Bauteils sind lediglich die Treiberstuf en T1 und 
TO dargestellt, von denen die eine, T1 , mit einer 
Versorgungsspannung von beispielsweise +5V und die 
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andere, TO, mit Masse verbunden 1st. Die beiden 
Treiberstufen verden auf geeignete Weise angesteuert. 
Die Eingangsklemmen RXO und RX1 des CAN-Bausteins 
sind mit einem Empf angskomparator 1 verbunden, der 
die auf den Eingangsklemmen auftauchenden Signale 
ausvertet und liber eine Ausgangsleitung 3 veitergibt. 
Der CAN-Baustein ist liberdies mit einem Operations- 
ver starker 5 versehen, an dessen Eingang die Spannung 
V cc /2 anliegt. Uber seinen Ausgang 7 vird eine Klemme 
V cc /2 auf dieses Potential angelegt. Es dient als Be- 
zugspotential. Zyischen den Datenleitungen U+ und U- 
und den Eingangsklemmen RXO und RX1 sovie den Aus- 
gangsklemmen TXO und TX1 ist eine Busankopplung 9 
vorgesehen, die der Einstellung spezieller Potentiale 
dient • 

Die Busankopplung 9 ist liberdies mit Umschaltkon- 
takten SO und SI versehen, die mit den Eingangs- 
klemmen RXO und RXT des CAN-Bausteins zusammenvirken. 
Uber den ersten Umschaltkontakt SO kann die Eingangs- 
klemme RXO des CAN-Bausteins mit dem vorgegebenen 
Potential verbunden verden. Der zveite Umschaltkon- 
takt SI dient dazu, die Eingangsklemme RX1 des CAN- 
Bausteins bei Bedarf auf das vorgegebene Potential zu 
leg en . 

Aus der Beschreibung des Error-Handlings vird deut- 
lich, daB zur Einleitung der ersten Notlauf-MaBnahme 
Ml die Eingangsklemme RXO Uber den Schalter SO auf 
das vorgegebene Potential von beispielsveise V cc \2 
gelegt vird. Wenn diese Notlauf-MaBnahme nicht zu dem 
gevlinschten Erfolg flihrt und veiterhin Fehler auf- 
treten, so vird der Schalter SO in seine ursprling- 
liche, in Figur 16 dargestellte Lage zurlickbevegt . 
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AnschlieBend vird zur Einleitung der zweiten Notlauf- 
MaBnahme M2 der Umschaltkontakt S1 betatigt und die 
Eingangsklemme RX1 des CAN-Bausteins mit dem vorgeb- 
baren Potential von beispielsveise V cc \2 verbunden. 

Die Zeitdiagramme der Figuren 1 bis 15 zeigen auBer 
dem Master jeveils zvei Teilnehmer A und B. In der 
Darstellung gemaB Figur 16 vird davon ausgegangen, 
daB auch mehr als insgesamt 3 Teilnehmer mit den 
Datenleitungen verbunden verden konnen. Es ist daher 
ein Teilnehmer Tin x dargestellt. 

Die Teilnehmer A bis x zeigen alle denselben Aufbau. 
Sie sind mit einem CAN-Baustein und einer Busankopp- 
lung 9 versehen. AusschlieBlich der Master ist noch 
mit einem AbschluBnetzverk versehen. 

Es ist jedoch moglich, mindestens einen veiteren 
Teilnehmer ebenfalls mit einem AbschluBnetzverk zu 
versehen, damit dieser im Falle eines Fehlers des 
Masters dessen Funktion ubernehmen kann. Dies vurde 
anhand der Beschreibung von Fiugr 15 ervahnt. 

Nach allem ist f estzustellen, daB mit dem oben be- 
schriebenen Verfahren Funktionsf ehler des Datenbusses 
und/oder einzelner Teilnehmer des Computer-Netzverkes 
erkannt verden konnen. Je nach Ausvirkung des Fehlers 
vird eine geeignete Fehlerreaktion, ein Error-Hand- 
ling, eingeleitet. Dadurch verden entsprechende Not- 
lauf-MaBnahmen ergriffen, die eine veitere Funktion 
des Netzverkes auch nach Auftreten des Fehlers ermog- 
licht. 
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Es ist denkbar, daS die verschiedenen Fehler, die an- 
hand der Fehlererkennungssignale unterscheidbar sind, 
angezeigt werden. 

Dadurch, daB der in Figur 16 dargestellte Master M 
eine PegelUbervachung vornimmt, sind stationer e, glo- 
bale oder dynamische, globale sovie station&re, lo- 
kale Pegelfehler unterscheidbar. Dabei ist der Pegel 
auf dem Bus im stationaren Zustand oder im dy- 
namischen Zustand verzogen. Beim zuletzt erwahnten 
Pegelfehler ist der Pegel an den Komparatoreingangen 
RXO und *RX1 bei dem betroffenen CAN-Baustein ver- 
zogen, Bei derartigen Pegelfehlern bleibt das System 
veiterhin f unktionf ahig. Der Master ist jedoch in der 
Lage, derartige Fehler anzuzeigen. 
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Anspruche 



1 . Verf ahren zur Ubervachung eines Computer-Netzwerks 
mit mindestens zvei liber einen venigstens zvei Lei- 
tungen umfassenden Datenbus verbundenen Teilnehmern, 
die jeveils ein Empfangs- und/oder ein Sendeteil auf- 
veisen, dadurch gekennzeichnet/ 
daB die Funktion des Datenbusses und/oder der Teil- 
nehmer mit Hilfe von Fehlererkennungssignalen (Watch- 
dog-Signale; CEI) mindestens eines Teilnehmers tiber- 
wacht, und daB auf den jeweiligen Fehlerfall abge- 
stimmte Notlauf-MaBnahnven (Ml; M2) zur Einstellung 
von definierten Notlauf-Betriebsarten (Eindraht-, 
Sonder-Notlauf ) ergriffen werden. 

2. Verf ahren nach Anspruch 1, dadurch ge- 
kennzeichnet, daB mindestens einer der 
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Teilnehmer (Master) ein externes Fehler signal (Watch- 
dog-Signal) abgibt, das im fehler freien Betrieb von 
alien anderen Teilnehmern - vorzugsveise innerhalb 
eines vorgebbaren Zeitfensters - empfangen vird. 

3. Verfahren nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, daB bei einem sta- 
tionaren, globalen Fehler, der alle Teilnehmer be- 
trifft, und bei dem die Leitungen (U-, U+) des Daten- 
busses standig ihren aktivierten Zustand (dominanter 
Pegel) einnehmen, bei jedem Teilnehmer eine Fehler- 
Erfassungseinrichtung aktiviert vird, bis ein teil- 
nehmer-internes Fehlererkennungssignal (CEI) ab- 
gegeben vird. 

4. Verfahren nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, daB bei einem statio- 
n&ren Fehler des Empf angsteils eines Teilnehmexs des- 
sen Fehler-Erfassungseinrichtung aktiviert vird, bis 
ein internes Fehlererkennungssignal (CEI) abgegeben 
vird. 

5. Verfahren nach Anspruch 3 oder 4, dadurch 
gekennzeichnet, daB bei jedem internen 
Fehlererkennungssignal ( CEI ) die Fehler-Erfassungs- 
einrichtung in ihren Ausgangszustand versetzt vird. 

6. Verfahren nach einem der Ansprliche 3 bis 5, d a - 
durch gekennzeichnet, daB als 
Fehler-Erfassungseinrichtung ein Fehlerzahler verven- 
det vird, der bei einem vorgebbaren Fehler stand das 
Fehler signal abgibt. 
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7. Verfahren nach Anspruch 6, dadurch g e - 
k e n n z e i c h n e t , daB der Fehlerzahler zu- 
ruckgesetzt und damit in seinen Ausgangszustand ver- 
setzt vird, indem der Teilnehmer zurttckgesetzt und 
anschlieBend neu gestartet vird. 

8. Verfahren nach einem der Ansprtiche 3 bis 7, d a - 
durch gekennzeichnet, daB bei 
Auftreten des internen Fehlererkennungssignals (CEI), 
das externe Fehlererkennungssignal (Watch-dog-Signal) 
nicht gesendet und nicht empfangen werden kann und 
eine erste Notlauf-MaBnahme (Ml ) zur Einstellung 
einer ersten Notlauf-Betriebsart (Eindraht-Notlauf ) 
eingeleitet vird. 

9. Verfahren nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, daB ein dynamischer, 
globaler Fehler, der alle Teilnehmer betrifft, und 
bei dem die Leitungen (U-, U+) des Datenbusses stan- 
dig in ihrem inaktivierten Zustand (rezessiver Pegel) 
verharren, daran erkannt vird, daB das externe 
Fehlererkennungssignal (Watch-dog-Signal) nicht oder 
nicht innerhalb eines vorgebbaren Zeitrahmens 
und/oder ein internes Fehlererkennungssignal (CEI) 
empfangen vird, und daB. daraufhin eine erste Notlauf- 
MaBnahme (M1 ) zur Einstellung einer ersten Notlauf- 
Betriebsart (Eindraht-Notlauf) eingeleitet vird. 

10. Verfahren nach Anspruch 2, dadurch ge- 
kennzeichnet, daB bei einem Fehler des 
Sendeteils eines Teilnehmers das externe Fehlererken- 
nungssignal (Watch-dog-Signal) des Masters unter- 
drtlckt und dadurch die erste Notlauf-MaBnahme (M1 ) 
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zur Einstellung des ersten Notlauf betriebs (Eindraht- 
Notlauf) bei alien Teilnehmern eingeleitet vird. 

11. Verfahren nach Anspruch 8, 9 oder 10, d a - 
durch gekennzeichnet, daB bei 
f ehlerf reiem Betrieb des Netzverks nach Einstellung 
des ersten Notlauf -Betriebs (Eindraht -Notlauf ) diese 
Betriebsart beibehalten vird. 

12. Verfahren nach Anspruch 8, 9 oder 10, d a - 
durch gekennzeichnet, daB bei Auf- 
treten veiterer Fehlersignale ( Watch-dog-Signale; 

'CEI) nach Einstellung des ersten Notlauf-Betriebs 
(Eindraht -Notlauf ) die erste Notlauf -MaBnahme (Ml) 
zuruckgenommen und zur Einstellung des zveiten Not- 
lauf-Betriebs ( Sonder-Notlauf ) die 2veite Notlauf- 
MaBnahme (M2) eingeleitet vird. 

13. Verfahren nach Anspruch 12, dadurch ge- 
kennzeichnet, daB bei f ehlerf reiem Be- 
trieb nach Einstellung des zveiten Notlauf-Betriebs 
(Sonder-Notlauf) diese Betriebsart beibehalten vird. 

14. Verfahren nach Anspruch 12, da durch ge- 
kennzeichnet, daB bei Auftreten eines 
veiteren externen oder internen Fehlererkennun^s si- 
gnals (Watch-dog-Signal; CEI) nach Einstellung des 
zveiten Notlauf-Betriebs (Sonder-Notlauf ) zumindest 
der defekte Teilnehmer, bei einem Fehler des Masters 
und bei einem globalen, alle Teilnehmer betreffenden 
Fehler alle Teilnehmer abgeschaltet (Bus-off) verden. 

15. Verfahren nach Anspruch 14,dadurch ge- 
kennzeichnet, daB nach Abschaltung (Bus- 
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off) eines einzelnen Teilnehmers die zweite Notlauf- 
MaBnahme (M2) zurUckgenonunen vird. 

16. Verfahren nach Anspruch 14,dadurch g e - 
kennzeichnet, daB bei Abschaltung (Bus- 
off) des das externe Fehlererkennungssignal (Watch- 
dog-Signal) abgebenden Teilnehmers (Master) die Feh- 
lerUberwachung abgeschaltet vird. 

17. Verfahren nach einem der Ansprliche 1 bis 16, 
dadurch gekennzeichnet, daB bei 
einem bereits im Ruhezustand des Computernetzes vor- 
liegenden Fehler die Teilnehmer die Notlauf -MaBnahmen 
(M1, M2 ) synchron einleiten. 

18. Verfahren nach Anspruch 8, 9, 10, 12 oder 17, 
dadurch gekennze..ichnet,. daB bei 
einem lokalen, einzelne Teilnehmer betreffenden Feh- 
ler als erste Notlauf -MaBnahme (Ml) die der zveiten 
Leitung (U+) des Datenbusses zugeordnete Eingangs- 
klemme (RXO) des betroffenen Teilnehmers auf ein vor- 
gebbares Potential gelegt vird. 

19. Verfahren nach Anspruch 8, 9, 12 oder 17, da- 
durch gekennzeichnet, daB bei 
einem globalen, alle Teilnehmer betreffenden Fehler 
und/oder bei einem Fehler des Masters als erste Not- 
lauf -MaBnahme (M1) die der zveiten Leitung (U+) des 
Datenbusses zugeordnete Eingangsklemmen (RXO) aller 
Teilnehmer auf ein vorgebbares Potential gelegt und 
alle durch ein internes Fehlererkennungssignal (CEI) 
zuruckgesetzten Teilnehmers neu gestartet verden. 
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20. Verfahren nach Anspruch 12, 13, 14 odex 15 Oder 
17, dadurch gekennzeichnet, daB 
bei einem lokalen, einzelne Teilnehmer betreffende 
Fehler als zveite Notlauf-MaBnahme (M2) die der zvei- 
ten Leitung (U-) des Datenbusses zugeordnete Ein- 
gangsklemme (RX1 ) des betroffenen Teilnehmers auf ein 
vorgebbares Potential gelegt f die der zveiten Leitung 
(U-) zugeordnete Ausgangsklemme (TX1 ) des Teilnehmers 
so geschaltet vird, das keine Inf ormationen auf die- 
ser Leitung abgegeben verden kdnnen. 

, 21. Verfahren nach Anspruch 12, 13, 14, 15 oder 17, 
dadurch gekennzeichnet, daB bei 
einem lokalen Fehler des das externe Fehlererken- 
nungssignal ( Watch-dog-Signal ) abgebenden Teilnehmers 
(Master) und/oder bei globalen, alle Teilnehmer be- 
treffenden Fehler als. zveite Notlauf-MaBnahme (M2), 
die zveite Leitung (U-) durch den Master abgeschaltet 
vird, die der zveiten Leitung (U-) des Datenbusses 
zugeordnete Eingangsklemme (RX1 ) aller Teilnehmer auf 
ein vorgebbares Potential- gelegt, die der zveiten 
Leitung (U-) zugeordneten Ausgangsklemmen (TX1 ) aller 
Teilnehmer so geschaltet verden, daB keine Inf orma- 
tionen auf dieser Leitung abgegeben verden konnen. 
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